Parce qu'elles sont attendues, urgentes et contiennent un bouton sur lequel cliquer, les invitations à signer un document sont un modèle idéal pour les fraudeurs. Le but est presque toujours le même : vous faire saisir vos identifiants de messagerie sur une fausse page, ou vous faire télécharger une pièce jointe malveillante.
La bonne nouvelle : une vraie demande de signature et une fausse se distinguent assez facilement, à condition de savoir où regarder.
Les cinq signaux d'alerte
- On vous demande votre mot de passe. Une plateforme de signature n'a jamais besoin du mot de passe de votre messagerie pour vous faire signer. Si une page vous le demande, fermez-la.
- L'expéditeur ne correspond à rien. Vous n'attendez aucun document de cette entreprise, ou le nom affiché ne correspond pas à l'adresse réelle.
- Le lien pointe ailleurs. Survolez le bouton sans cliquer : l'adresse affichée doit correspondre au domaine officiel de la plateforme de signature.
- Une pièce jointe à ouvrir. Les vraies invitations contiennent un lien, pas un fichier HTML, ZIP ou un document à activer.
- Une urgence dramatisée. « Votre compte sera suspendu », « dernier avertissement » : la pression est l'arme principale du phishing.
Une plateforme de signature n'a jamais besoin du mot de passe de votre messagerie.
Le bon réflexe : vérifier par un autre canal
En cas de doute, ne cliquez pas : contactez l'expéditeur supposé par un canal que vous connaissez déjà — son numéro de téléphone habituel, un e-mail que vous lui avez vous-même écrit. Une vraie demande de signature survit très bien à dix minutes de vérification.
Côté expéditeur : protéger vos signataires
Si vous envoyez des documents à signer, vous avez tout intérêt à ce que vos invitations soient reconnaissables au premier coup d'œil. Quelques mesures simples :
- Personnalisez l'expéditeur et le message. Votre nom, votre logo, un mot qui fait référence à l'échange que vous avez eu. Un e-mail générique ressemble à du phishing ; un e-mail personnel, non.
- Prévenez avant d'envoyer. « Je vous envoie le contrat dans cinq minutes » : la phrase la plus efficace contre la fraude.
- Utilisez un code SMS ou un code d'accès. Même si un fraudeur interceptait le lien, il ne pourrait pas signer à la place de votre destinataire.
- Configurez correctement votre domaine. Les enregistrements SPF, DKIM et DMARC de votre domaine d'envoi réduisent fortement les usurpations.
Ce que fait une plateforme sérieuse
- Des invitations envoyées depuis un domaine authentifié, avec votre identité visible.
- Des liens uniques, à durée de vie limitée, qui ne donnent accès qu'au document concerné.
- Aucune demande d'identifiants de messagerie, jamais.
- Un journal qui trace chaque ouverture, avec adresse IP et appareil : une signature frauduleuse laisserait des traces exploitables.
Vous avez reçu un e-mail suspect utilisant notre nom ? Ne cliquez pas, et transférez-le à contact@validature.com. Nous le signalons et bloquons les pages frauduleuses.
Former sans faire peur
La meilleure protection reste la vigilance des équipes. Une courte session d'une demi-heure, avec quelques exemples réels, suffit à ancrer les bons réflexes. L'objectif n'est pas de rendre chacun paranoïaque, mais de faire du « je vérifie par un autre canal » une habitude — et de ne jamais reprocher à quelqu'un d'avoir pris dix minutes pour vérifier.
Cet article est informatif et ne constitue pas un conseil juridique personnalisé. Pour une situation particulière, rapprochez-vous d'un professionnel du droit.
